如何使用JWT和RSA非对称加密进行授权认证单点登录

认证流程

1. 集中式认证流程
   
2. 分布式认证流程
   

分布式认证

1. 有状态登录：服务器需要存储token
2. 无状态登录：服务器不用存储token

什么是有状态

• 例如登录：用户登录后，我们把登录者的信息保存在服务端session中，并且给用户一个cookie值，记录对应的session。然后下次请求，用户携带cookie值来，我们就能识别到对应session，从而找到用户的信息。
• 缺点：
  服务器需要保存大量数据，压力大
  1. 服务端保存用户状态，无法进行水平扩展
  2. 客户端请求依赖服务端，多次请求必须访问同一台服务器，因为只有一台服务器保存着用户的信息

什么是无状态

• 服务端不保存任何客户端请求者信息
• 好处：
  客户端请求不依赖服务端的信息，任何多次请求不需要必须访问到同一台服务，服务端没有保存用户信息.
  1. 减轻服务器压力

无状态单点登录方案

无状态登录流程：

• 当客户端第一次请求服务时，服务端对用户进行信息认证（登录）
• 认证通过，将用户信息进行加密形成token，返回给客户端，作为登录凭证
• 以后每次请求，客户端都携带认证的token
• 服务的对token进行解密，判断是否有效。
  
  在这个过程中，无可厚非就是要token安全性，因为token是识别客户端身份的唯一标示，如果加密不够严密，被人伪造那就完蛋了。
  我们采用JWT+RSA非对称加密

如之前没有接触过JWT的可以简单了解下JWT的数据结构

JWT登录授权和鉴权流程

• 授权流程：

  1、用户请求登录，携带用户名密码到授权中心
• 2、授权中心携带用户名密码，到用户中心查询用户
• 3、查询如果正确，生成JWT凭证
• 4、返回JWT给用户